KVKK kamu kurumları uyum rehberi ve yapay zeka: Mart 2026 rehberi projeye nasıl uygulanır

KVKK kamu kurumları uyum rehberi nedir ve yapay zeka projesini neden ilgilendirir

Kişisel Verileri Koruma Kurumu, kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarına yönelik 144 sayfalık bir uyum rehberini KVKK Yayınları No 114 ile Mart 2026 tarihinde yayımladı. Rehber, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun kamu kurumlarına getirdiği yükümlülükleri temel kavramlar, genel ilkeler, işleme şartları, aktarım, aydınlatma, veri güvenliği, ilgili kişi hakları, saklama ve imha, VERBİS'e kayıt, inceleme süreçleri, kurumlar arası aktarım ve istisna halleri başlıkları altında ele alıyor.

Rehberin 144 sayfalık metninde "yapay zeka" ifadesi hiç geçmiyor. Bu, yapay zeka projelerinin rehberin kapsamı dışında olduğu anlamına gelmiyor. Rehber teknolojiden bağımsız bir çerçeve kuruyor ve Kanun'un 3'üncü maddesindeki işleme tanımı otomatik yolları zaten kapsıyor. Rehber otomatik işlemeyi şu parantez içi açıklamayla tarif ediyor: "bilgisayar, telefon, saat vb. işlemci sahibi cihazlar tarafından yerine getirilen, yazılım veya donanım özellikleri aracılığıyla önceden hazırlanan algoritmalar kapsamında insan müdahalesi olmadan kendiliğinden gerçekleşen". Bir dil modeline gönderilen istem ile modelden dönen yanıt bu tanımın içindedir.

Kamu kurumu tarafında pratik sonuç şudur: yapay zeka yazılımı kiralama veya hizmet alımı yoluyla kurulan bir sistem için yeni ve ayrı bir mevzuat aranmaz. Rehberin kurduğu çerçeve doğrudan uygulanır. Proje dokümanının, ihale teknik şartnamesinin ve uyum değerlendirmesinin rehberin bölüm başlıklarıyla eşleştirilerek yazılması, denetimde savunulabilir bir yapı üretir.

• Bölüm 2: Temel kavramlar; kişisel veri, işleme şartları, veri sorumlusu ve veri işleyen, veri paylaşımı ile veri aktarımı ayrımı.
• Bölüm 3: Kamu kurumlarının yükümlülükleri; genel ilkeler, işleme şartının doğru belirlenmesi, aktarım, aydınlatma, veri güvenliği, ilgili kişi hakları, saklama ve imha, VERBİS.
• Bölüm 4: İnceleme süreçlerinde kurumların yükümlülükleri; başvuru yolunun tüketilmesi, Kurula süresinde cevap, Kurul kararlarının yerine getirilmesi.
• Bölüm 5: Kamu kurumları arasında hukuka uygun veri aktarımı; özel düzenlemelerin tespiti, protokollerin sınırı, ölçülülük, güvenli aktarım yöntemleri.
• Bölüm 6: Kanun'un 28'inci maddesindeki tam ve kısmi istisna halleri.

Kamu kurumunun veri sorumlusu sıfatı ve yapay zeka projesindeki sorumluluk zinciri

Kamu kurumları yapay zeka projelerinde veri sorumlusu sıfatını taşır ve bu sıfat bir iç birime ya da yükleniciye devredilemez. Rehber bu noktayı tereddüde yer bırakmayacak biçimde yazıyor: "kamu kurumu bünyesinde bulunan daire başkanı, şube müdürü, insan kaynakları müdürlüğü, hukuk müşavirliği, strateji dairesi, bilgi işlem birimi veya kurum dışından hizmet alınan kurum/kişiler değil kamu kurumlarının bizzat kendisi veri sorumlusu sıfatını haizdir." Rehber ayrıca Kanun'un uygulanmasıyla ilgili iş ve işlemler için bir kişi, birim veya ekip görevlendirilse dahi bu görevlendirmenin o kişiyi veri sorumlusu yapmayacağını belirtiyor.

Bir bakanlığa bağlı, ilgili ve ilişkili kuruluşlar ile taşra teşkilatları, işleme amaç ve vasıtalarını kendisi belirlemiyorsa veri sorumlusu sayılmaz; yükümlülükler bağlı olunan bakanlıkça yerine getirilir. Yapay zeka projesi bir il müdürlüğünde pilot olarak başlatılsa bile aydınlatma metninin, envanter kaydının ve ilgili kişi başvurularının muhatabı bakanlıktır.

Model sağlayıcısı ve entegrasyonu yapan yüklenici, kurumun verdiği yetki ve talimatlar doğrultusunda kurum adına kişisel veri işliyorsa veri işleyen konumundadır. Rehber, kamu kurumunun kişisel verilerin depolanması amacıyla özel bir şirketten hizmet alması durumunda o şirketin veri işleyen olarak nitelendirileceğini örnekliyor. Kanun'un 12'nci maddesinin ikinci fıkrası gereğince veri sorumlusu, güvenlik tedbirlerinin alınması hususunda veri işleyenle birlikte müştereken sorumludur; sorumluluk sözleşmeyle sağlayıcıya aktarılmaz.

Rehber, Kurula intikal eden ihlal bildirimlerinde sık karşılaşılan idari tedbir eksiklikleri arasında şunu sayıyor: "Veri işleyenle yapılan sözleşmelerde kişisel veri güvenliğine ilişkin hususların detaylandırılmaması; kişisel veri güvenliğinin sağlandığından emin olunması adına veri işleyen üzerinde gerekli denetimlerin gerçekleştirilmemesi". Yapay zeka hizmet alımı sözleşmesinde bu başlığın boş bırakılması, denetimde doğrudan bir bulgu üretir.

• Veri işleyen sözleşmesinde işleme amacı, kapsamı, veri kategorileri ve talimat sınırı açıkça yazılır.
• Sağlayıcının kurum talimatı dışında kendi amaçları için işleme yapmayacağı, model eğitiminde kullanım dahil, hükme bağlanır.
• Alt yüklenici ve alt işleyen kullanımı ile bunların kimliği ve bulunduğu ülke sözleşmede belirtilir.
• Kurumun veri işleyen üzerinde denetim yapma hakkı ve denetimin usulü sözleşmeye yazılır.
• Sözleşmenin sona ermesi halinde verilerin iadesi veya imhası ile bunun belgelenmesi düzenlenir.
• Rehberin bir başka tespiti gereği, test ve analiz ortamlarında gerçek kişilere ait kişisel verilerin kullanılmaması sözleşmede ve teknik şartnamede karşılık bulur.

Kamu yapay zeka projesinde hukuki sebep: açık rıza neden zayıf bir dayanaktır

Kamu kurumları, yapay zeka ile yürütülen her kişisel veri işleme faaliyetini Kanun'un 5'inci maddesindeki şartlardan en az birine dayandırmak zorundadır. Rehber, işleme şartlarının Kanun'da sınırlı sayma yoluyla belirlendiğini ve genişletilemeyeceğini belirtiyor. Kamu kurumlarının faaliyetlerinde uygulama alanı bulan tipik şartlar kanunlarda açıkça öngörülme, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması ve bir hakkın tesisi, kullanılması veya korunması için zorunlu olmasıdır.

Açık rıza, kamu kurumu için genellikle yanlış bir tercihtir. Rehber şu ifadeyi kullanıyor: "açık rıza, diğer işleme şartlarının uygulanamadığı durumlarda başvurulabilecek istisnai bir hukuki dayanak olup veri işleme faaliyetinin zorunlu bir şartı hâline getirilemez." Rehber ayrıca, açık rıza dışında bir işleme şartına dayanmak mümkünken ilgili kişiden ayrıca açık rıza alınmasının hakkın kötüye kullanımı niteliğinde olacağını ve ilgili kişinin yanıltılmış olacağını yazıyor.

Bunun pratik nedeni açıktır: açık rıza her zaman geri alınabilir. Vatandaşa sunulan bir hizmetin yapay zeka bileşeni açık rızaya bağlanırsa, rıza geri alındığında işleme faaliyetinin durması beklenir. Oysa kurum aynı faaliyeti kanuni bir görev kapsamında yürütüyorsa faaliyet devam edecektir; bu da ilgili kişiye yanlış bir izlenim vermiş olur.

Meşru menfaat şartı da kamu tarafında dikkatli kullanılmalıdır. Rehber, kamu kurumlarının kamu gücüne dayalı olarak yürüttükleri faaliyetlerde meşru menfaat işleme şartının kullanılması konusunda ihtiyatlı olunmasında fayda bulunduğunu, kurum faaliyetlerinin ağırlıklı olarak kanunla verilen görevler ile idari yetkilere dayanması sebebiyle bu şartın her zaman uygun bir hukuki temel oluşturmayabileceğini belirtiyor.

Özel nitelikli kişisel veri söz konusuysa değerlendirme Kanun'un 6'ncı maddesine göre yapılır ve Kurulun 31 Ocak 2018 tarihli ve 2018/10 sayılı Kararı ile belirlenen yeterli önlemler ayrıca alınır. Sağlık, ceza mahkumiyeti, biyometrik veya sendika üyeliği verisinin bir dil modeline gönderilmesi planlanıyorsa, projenin bu adımı ayrı bir hukuki değerlendirme gerektirir.

• Hangi istemde hangi veri kategorisinin yer alacağı alan alan listelenir; hukuki sebep her kategori için ayrı belirlenir.
• Aynı amaç için birden fazla işleme şartı dayanak gösterilebilir; rehber buna örnek olarak bordro düzenlemede sözleşmenin ifası ile hukuki yükümlülüğün birlikte uygulanmasını veriyor.
• Açık rıza dışında bir şart uygulanabiliyorsa ayrıca açık rıza alınmaz; alınırsa hukuka aykırılık doğar.
• Hiçbir işleme şartı uygulanamıyorsa rehberin yaklaşımı nettir: faaliyet durdurulur ve veriler güvenli biçimde imha edilir.
• İşleme şartının tespiti belgelendirilir; rehber veri işleme süreçlerinin belgelenmesini ve düzenli denetlenmesini yerinde bir uygulama olarak niteliyor.

Kurumlar arası veri paylaşımı, protokollerin sınırı ve yurt dışına aktarım

Kurumlar arasında imzalanan veri paylaşım protokolü, tek başına bir yapay zeka projesinin veri kaynağını hukuka uygun hale getirmez. Rehber bunu iki cümlede açıkça ortaya koyuyor: "Ancak bu protokolün tek başına aktarımın dayanağı olamayacağı hususu unutulmamalıdır." ve "Ancak bu protokol, hukuki sebebin yerine geçmez; yalnızca mevcut hukuki sebebin uygulanma usulünü düzenler." Rehbere göre protokol, hukuka uygunluğu zaten tespit edilmiş bir aktarımın ne şekilde gerçekleştirileceğine ve sınırlarına ilişkin yol gösterici bir dokümandır.

Sıralama bu nedenle önemlidir. Önce aktarıma esas teşkil edecek hukuki düzenleme, örneğin bir kanun hükmü ya da Kanun'un 5'inci maddesinin ikinci fıkrasındaki işleme şartlarından biri belirlenir; sonra aktarımın kapsamı, amacı, veri kategorileri, teknik ve idari güvenlik tedbirleri ile tarafların sorumlulukları protokolle ayrıntılandırılır. Bir yapay zeka modelini başka bir kurumdan gelen veriyle beslemeyi planlayan proje, protokolü değil bu hukuki dayanağı önce yazmak zorundadır.

Kurum içi paylaşım ile aktarım ayrımı da projeyi doğrudan etkiler. Rehbere göre veri sorumlusu sıfatını haiz bir tüzel kişiliğin bünyesinde, çalışanlar veya farklı birimler arasındaki paylaşım Kanun'un 8'inci maddesi çerçevesinde aktarım sayılmaz. Rehber buna Sağlık Bakanlığı'na bağlı bir devlet hastanesinin il sağlık müdürlüğüne hasta kayıtlarını iletmesini örnek veriyor. Buna karşılık farklı tüzel kişilikler arasındaki paylaşım aktarımdır ve 8'inci madde uygulanır.

Yurt dışına aktarım başlığında rehberin en kritik tespiti model seçimini doğrudan ilgilendiriyor: "Halihazırda hakkında yeterlilik kararı verilmiş bir ülke, ülke içerisindeki sektör veya uluslararası kuruluş bulunmamaktadır." Rehber, yalnızca yeterlilik kararının beklenmesine dayalı bir yaklaşım yerine önce aktarıma dayanak teşkil edebilecek kanun ve uluslararası anlaşmaların incelenmesini, böyle bir dayanak yoksa Kanun'un 9'uncu maddesinin dördüncü fıkrasındaki uygun güvencelerden birine ya da şartları varsa altıncı fıkradaki arızi hallere dayanılmasını istiyor.

Kamu kurumları için uygun güvencelerden biri, yurt dışındaki kamu kurumu veya uluslararası kuruluşla yapılan ve uluslararası sözleşme niteliğinde olmayan anlaşmadır. Bu yol, 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'in 11'inci maddesinde düzenlenmiştir; anlaşmanın müzakeresinde Kurulun görüşüne başvurulur ve aktarıma ancak Kurul izni verildikten sonra başlanır. Yurt dışında barındırılan bir modele kişisel veri gönderen bir kamu projesinde bu değerlendirme atlanamaz.

Rehber ayrıca yurt dışı aktarım kapsamını genişletici bir uyarı içeriyor: Türkiye'de yerleşik olmayan uluslararası kurum ve kuruluşlara kişisel veri aktarılması yurt dışına aktarım sayılacağı gibi, bu kurum ve kuruluşların Türkiye'de bulunan ofisleriyle gerçekleştirilecek aktarımların da yurt dışına aktarım sayılabileceği göz önünde bulundurulmalıdır. Yurt dışı merkezli bir sağlayıcının Türkiye'deki ofisiyle sözleşme yapılması, tek başına aktarımı yurt içi hale getirmez.

Öte yandan rehber, Kanun'un aktarımı yasaklayan değil şartlarını belirleyen çerçeve bir düzenleme olduğunu vurgulayarak kurumları uyarıyor: "Kanun, mutlak ve sınırsız bir engelleme gibi yorumlanarak özel kanunlar işlevsiz kılınmamalıdır." Rehbere göre kurumların kendilerine yöneltilen bilgi taleplerini doğrudan KVKK'ya aykırılık gerekçesiyle kategorik ve sistematik şekilde reddetmemeleri gerekir.

• Önce hukuki dayanak tespit edilir, sonra protokol yazılır; ters sıra denetimde bulgu üretir.
• Aktarımın kapsamı ölçülü tutulur; rehber ileride doğması muhtemel ihtiyaçlar veya genel amaçlı taleplerle veri aktarılmamasını istiyor.
• Modelin barındırıldığı ülke, projenin uyum dokümanında ayrı bir alan olarak kayda geçirilir.
• Yurt dışına aktarım gerekiyorsa Kanun'un 9'uncu maddesindeki üç kademeli yapı sırayla değerlendirilir ve sonuç yazılı olarak gerekçelendirilir.
• Yurt içinde barındırılan bir modelle çözülebilen senaryolarda aktarım sorusu hiç doğmaz; bu, uyum dokümanında gerekçelendirilebilir bir tasarım kararıdır.

Rehberin başlıklarının yapay zeka projesindeki karşılığı: aydınlatma, envanter, saklama ve başvurular

Aydınlatma yükümlülüğü, yapay zeka akışında verinin elde edildiği anda yerine getirilir. Kanun'un 10'uncu maddesi uyarınca veri sorumlusu, kimliği, işleme amacını, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve 11'inci maddedeki hakları bildirmek zorundadır. Rehber, aydınlatmada genel ifadelerden kaçınılmasını ve amacın daha spesifik ifadelerle açıklanmasını istiyor; "hizmet kalitesinin artırılması" gibi bir ibare, bir dil modeline veri gönderildiğini açıklamaz. Rehber ayrıca aydınlatma yükümlülüğünün yerine getirildiğine ilişkin ispatın veri sorumlusuna ait olduğunu hatırlatıyor.

Verinin doğrudan ilgili kişiden elde edilmediği durumlarda süre kuralı devreye girer. 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete'de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'in 6'ncı maddesi uyarınca aydınlatma, verilerin elde edilmesinden itibaren makul bir süre içinde, iletişim amacıyla kullanılacaksa ilk iletişimde, aktarılacaksa en geç ilk aktarımın yapılacağı sırada yerine getirilir. Mevcut bir veri tabanından beslenen bir yapay zeka projesi bu üçüncü kalemin kapsamına girer.

Envanter ve VERBİS, projenin sessizce atlanan adımıdır. Rehbere göre kurumların VERBİS'e bildirim işleminden önce kişisel veri işleme envanteri hazırlamaları gerekir ve VERBİS'e açıklanacak bilgiler envanterle uyumlu olmalıdır. Rehber, envanterdeki bilgilerin aydınlatma yükümlülüğünde, ilgili kişi başvurularının yanıtlanmasında, açık rızanın kapsamının belirlenmesinde ve azami saklama sürelerinin belirlenmesinde göz önünde bulundurulmasını istiyor. Yapay zeka projesi yeni bir veri kategorisi, yeni bir alıcı grubu veya yeni bir kayıt ortamı üretiyorsa envanter güncellenmelidir.

Saklama tarafında belirleyici soru, projenin hangi yeni kayıtları ürettiğidir. İsteme giren metin, modelden dönen yanıt ve kullanım kaydı birbirinden ayrı kayıtlardır ve her biri için ayrı saklama süresi belirlenmesi gerekir. Rehber, mevzuatta süre öngörülmüşse ona uyulmasını, öngörülmemişse verilerin ancak işlendikleri amaç için gerekli olan süre kadar saklanmasını, işleme amacının veya geçerli hukuki dayanağın ortadan kalktığı durumlarda verilerin imha edilmesini istiyor. Saklama ve imha politikasındaki süreler ile VERBİS'teki sürelerin uyuşması da zorunludur.

İlgili kişi başvuruları, yapay zeka çıktısıyla doğrudan bağlantılıdır. Kanun'un 11'inci maddesinin birinci fıkrasının (g) bendi, rehberin aktardığı haliyle şu hakkı tanıyor: "İlgili kişiler veri sorumlusuna başvurarak işlenen kişisel verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkına sahiptir". Bir başvuru, örneğin bir talebin model destekli bir ön değerlendirmeyle reddedilmesi üzerine geldiğinde, kurumun o çıktının hangi girdiyle ve hangi süreçle üretildiğini açıklayabilmesi gerekir.

Süreler kısadır ve kamu için de aynıdır. Rehber, veri sorumlusunun ilgili kişi talebini en kısa sürede ve en geç 30 gün içinde inceleyip cevaplaması gerektiğini; kendisine başvuru yapılan kurumun o kişiye ait hiçbir kişisel veriyi işlemiyor olsa dahi bu yönde bir cevap vermek zorunda olduğunu belirtiyor. İnceleme sürecinde Kurulun istediği bilgi ve belgeler devlet sırrı niteliğindekiler hariç 15 gün içinde gönderilir; Kurul kararı tebliğden itibaren gecikmeksizin ve en geç 30 gün içinde yerine getirilir. Veri ihlali halinde Kurulun 24 Ocak 2019 tarihli ve 2019/10 sayılı Kararı uyarınca gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapılır.

Kamu kurumları açısından yaptırımın niteliği de farklıdır. Kanun'un 18'inci maddesinin dördüncü fıkrası uyarınca kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde hukuka aykırılık tespit edilmesi halinde, Kurulun bildirimi üzerine görev yapan memurlar ve diğer kamu görevlileri hakkında disiplin hükümlerine göre işlem yapılır ve sonuç Kurula bildirilir. Yani sonuç kurum bütçesine kesilen bir idari para cezası değil, personel hakkında yürütülen bir disiplin sürecidir.

LLMTR'nin rehberin hangi başlıklarına karşılık geldiği

LLMTR, Türkiye'de barındırılan ve global dil modellerine OpenAI uyumlu tek bir API üzerinden erişim veren bir gateway platformudur. Aşağıdaki maddeler, platformun tasarım kararlarının rehberin hangi başlığında karşılık bulduğunu gösterir. Bunlar kurumun yükümlülüklerini ortadan kaldırmaz; hukuki sebebin tespiti, aydınlatma, envanter ve saklama politikası her durumda veri sorumlusu sıfatını taşıyan kurumun işidir.

Rehberin saklama ve imha ile envanter başlıkları açısından belirleyici olan nokta şudur: LLMTR'de kullanıcı istemleri ve model yanıt gövdeleri kullanım ve faturalama veritabanına yazılmaz. Kullanım kaydı token sayısı, model kimliği ve maliyet gibi ölçüm alanlarından oluşur. Bunun envanter tarafındaki sonucu, gateway'in faturalama katmanında saklama süresi belirlenecek bir istem veya yanıt gövdesinin doğmamasıdır. Kurumun kendi uygulama katmanında bu gövdeleri kaydedip kaydetmediği ayrı bir sorudur ve envantere kurumun kendi kararı yansır.

Rehberin veri güvenliği bölümü, Kurula intikal eden ihlallerde sık karşılaşılan teknik tedbir eksiklikleri arasında şunu sayıyor: "Kişisel verilerin API veya web servisler üzerinden paylaşıldığı durumlarda güvenli iletişim protokollerinin kullanılmaması, erişim anahtarlarının uygun şekilde yönetilmemesi, kimlik doğrulama ve yetkilendirme süreçlerinin eksik olması". Anahtar yönetimi tarafında LLMTR'de müşteri API anahtarları SHA-256 özet olarak saklanır, düz metin tutulmaz; sağlayıcı API anahtarları yalnızca ortam değişkeninde bulunur.

Rehberin aynı listesinde yer alan bir diğer eksiklik, kişisel veri sorgulama sistemlerinde alarm, izleme ya da sorgu limiti veya kotası gibi kontrol mekanizmalarının bulunmamasıdır. LLMTR'de her birim ayrı bir API anahtarı, kendi hız sınırı, kendi tavanı ve kendi kullanım raporunu alabilir. Bu yapı, rehberin istediği erişim yetki matrisinin ve sorgu limiti uygulamasının gateway tarafındaki karşılığını üretir ve birim bazlı kullanım kaydı istem metni içermeden denetlenebilir kalır.

Yurt dışına aktarım başlığı açısından ise katalog ayrımı işe yarar. Türkiye'de barındırılan modeller ile global sağlayıcıların modelleri aynı katalogda ayrı ayrı işaretlenir. Veri sınıflandırması gereği yurt dışına çıkamayacak içerik için yurt içinde barındırılan bir model seçildiğinde, Kanun'un 9'uncu maddesi kapsamındaki değerlendirme o akış için gündeme gelmez. Bu, uyum dokümanında yazılı olarak gerekçelendirilebilir bir tasarım kararıdır.

Bu yazıdaki eşleştirme tablosu, kurumun uyum dosyasında platform tarafındaki karşılığıyla birlikte kullanılabilir. Kurumun kendi uygulama katmanında alması gereken tedbirler ile gateway'in sağladığı tedbirler ayrı ayrı yazıldığında, Kanun'un 12'nci maddesinin ikinci fıkrasındaki müşterek sorumluluk çerçevesinde kimin neyi taahhüt ettiği denetimde net kalır.

Kaynaklar

Bu yazıdaki mevzuat referansları aşağıdaki birincil kaynaklardan doğrulanmıştır. Rehberden yapılan birebir alıntılar, KVKK Yayınları No 114 sayılı belgenin tam metni üzerinden kontrol edilmiştir. Son kontrol: 13 Ağustos 2026.

Bu içerik bilgilendirme amaçlıdır, hukuki görüş niteliği taşımaz. Nihai değerlendirme kurumun uyum ve hukuk birimlerinin kararıdır.

• Kamu Kurum ve Kuruluşları ile Kamu Kurumu Niteliğindeki Meslek Kuruluşları için Kişisel Verilerin Korunması Kanununa Uyum Rehberi, KVKK Yayınları No 114, Mart 2026, 144 sayfa — kvkk.gov.tr
• 6698 sayılı Kişisel Verilerin Korunması Kanunu, madde 3, 4, 5, 6, 8, 9, 10, 11, 12, 13, 15, 16, 18 ve 28 — kvkk.gov.tr
• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete — resmigazete.gov.tr
• Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, 28 Ekim 2017 tarihli ve 30224 sayılı Resmî Gazete — resmigazete.gov.tr
• Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete — resmigazete.gov.tr
• Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ, 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete — resmigazete.gov.tr
• Kişisel Verileri Koruma Kurulunun 24 Ocak 2019 tarihli ve 2019/10 sayılı Kararı, veri ihlali bildirim usul ve esasları — kvkk.gov.tr
• Kişisel Verileri Koruma Kurulunun 31 Ocak 2018 tarihli ve 2018/10 sayılı Kararı, özel nitelikli kişisel verilerde yeterli önlemler — kvkk.gov.tr
• Kişisel Verileri Koruma Kurulunun 11 Mart 2021 tarihli ve 2021/238 sayılı Kararı, VERBİS kayıt süresi — kvkk.gov.tr

Kamu yapay zeka projesini KVKK Yayınları No 114 rehberine göre gözden geçirme

Mart 2026 tarihli kamu uyum rehberinin başlıklarını mevcut veya planlanan bir yapay zeka projesine uygulamak için izlenebilecek altı adım.

1. Veri akışını ve veri sorumlusunu yazıya dökün. Projede hangi verinin nereden gelip nereye gittiğini adım adım çizin. Veri sorumlusunun kurumun kendisi olduğunu, taşra teşkilatı söz konusuysa bağlı olunan bakanlık olduğunu belgeleyin. Model sağlayıcısı ve yüklenicinin veri işleyen konumunda olup olmadığını tespit edin.
2. Her veri kategorisi için hukuki sebep belirleyin. İsteme girecek alanları tek tek listeleyin ve her biri için Kanun'un 5'inci maddesindeki uygun işleme şartını tespit edin. Açık rıza dışında bir şart uygulanabiliyorsa açık rıza almayın. Özel nitelikli veri varsa 6'ncı maddeye göre ayrı değerlendirme yapın ve 2018/10 sayılı Kurul Kararındaki yeterli önlemleri ekleyin.
3. Aktarım sorusunu ayrıştırın. Akıştaki her paylaşımın kurum içi paylaşım mı yoksa aktarım mı olduğunu belirleyin. Başka kurumdan veri geliyorsa protokolden önce hukuki dayanağı tespit edin. Modelin barındırıldığı ülkeyi kayda geçirin; yurt dışı söz konusuysa Kanun'un 9'uncu maddesindeki kademeleri sırayla değerlendirip sonucu gerekçelendirin.
4. Aydınlatma metnini ve ispat kaydını güncelleyin. Aydınlatma metnine spesifik işleme amacını, alıcı gruplarını, toplama yöntemini ve hukuki sebebi ekleyin; genel ifadelerden kaçının. Veri doğrudan ilgili kişiden alınmıyorsa Aydınlatma Tebliği'nin 6'ncı maddesindeki süre kurallarına uyun ve aydınlatmanın yapıldığına ilişkin ispat kaydını tutun.
5. Envanteri, VERBİS bildirimini ve saklama sürelerini eşitleyin. Projenin ürettiği yeni veri kategorilerini, alıcı gruplarını ve kayıt ortamlarını kişisel veri işleme envanterine işleyin. İstem metni, model yanıtı ve kullanım kaydı için ayrı saklama süreleri belirleyin. Saklama ve imha politikasındaki sürelerin VERBİS'teki sürelerle uyuştuğunu doğrulayın.
6. Başvuru, ihlal ve denetim akışını kurun. İlgili kişi başvurularını en geç 30 gün içinde yanıtlayacak akışı tanımlayın ve model çıktısına itiraz gelmesi halinde çıktının hangi girdiyle üretildiğini açıklayabilecek izlenebilirliği sağlayın. Veri ihlalinde 72 saatlik Kurul bildirimi için müdahale planı hazırlayın; erişim yetki matrisi, sorgu limiti ve erişim kayıtlarını devreye alın.

Sık sorulan sorular

KVKK'nın kamu kurumları için yayımladığı uyum rehberi ne zaman çıktı ve neleri kapsıyor?

Kişisel Verileri Koruma Kurumu, Kamu Kurum ve Kuruluşları ile Kamu Kurumu Niteliğindeki Meslek Kuruluşları için Kişisel Verilerin Korunması Kanununa Uyum Rehberi'ni KVKK Yayınları No 114 ile Mart 2026 tarihinde yayımladı. Rehber 144 sayfa olup temel kavramlar, genel ilkeler, işleme şartları, aktarım, aydınlatma, veri güvenliği, ilgili kişi hakları, saklama ve imha, VERBİS'e kayıt, inceleme süreçleri, kurumlar arası aktarım ve istisna halleri başlıklarını kapsıyor.

Rehberde yapay zeka geçmiyorsa yapay zeka projeleri kapsam dışında mı?

Hayır. Rehberin metninde yapay zeka ifadesi geçmez, ancak rehber teknolojiden bağımsız bir çerçeve kurar. Kanun'un 3'üncü maddesindeki işleme tanımı tamamen veya kısmen otomatik yolları kapsar ve rehber otomatik işlemeyi, önceden hazırlanan algoritmalar kapsamında insan müdahalesi olmadan kendiliğinden gerçekleşen işlemler olarak açıklar. Bir dil modeline gönderilen istem ve dönen yanıt bu tanımın içindedir.

Kamu yapay zeka projesinde veri sorumlusu kimdir, bilgi işlem birimi mi yüklenici mi?

İkisi de değildir. Rehbere göre kamu kurumlarında daire başkanı, şube müdürü, hukuk müşavirliği, bilgi işlem birimi veya kurum dışından hizmet alınan kurum ve kişiler değil, kamu kurumunun bizzat kendisi veri sorumlusu sıfatını taşır. Bir bakanlığın taşra teşkilatı işleme amaç ve vasıtalarını kendisi belirlemiyorsa yükümlülükleri bağlı olduğu bakanlık yerine getirir.

Dil modeli sağlayıcısı veri işleyen sayılır mı ve sözleşmede ne olmalı?

Sağlayıcı ve entegrasyonu yapan yüklenici, kurumun verdiği yetki ve talimatlar doğrultusunda kurum adına kişisel veri işliyorsa veri işleyen konumundadır. Rehber, veri işleyenle yapılan sözleşmelerde kişisel veri güvenliğine ilişkin hususların detaylandırılmamasını ve veri işleyen üzerinde denetim yapılmamasını sık karşılaşılan bir idari tedbir eksikliği olarak sayıyor. Sözleşmede talimat sınırı, güvenlik tedbirleri, alt işleyenler, denetim hakkı ve sözleşme sonunda verilerin iadesi veya imhası yer almalıdır.

Kurumlar arası imzalanan veri paylaşım protokolü aktarım için tek başına yeterli mi?

Değildir. Rehberin ifadesiyle bu protokol, hukuki sebebin yerine geçmez; yalnızca mevcut hukuki sebebin uygulanma usulünü düzenler. Önce aktarıma esas teşkil edecek hukuki düzenleme, örneğin bir kanun hükmü veya Kanun'un 5'inci maddesinin ikinci fıkrasındaki işleme şartlarından biri belirlenir; protokol bundan sonra aktarımın kapsamını, amacını, veri kategorilerini ve tarafların sorumluluklarını ayrıntılandırır.

Yurt dışında barındırılan bir modele veri göndermek için yeterlilik kararı beklenebilir mi?

Rehber bu yaklaşımı sık karşılaşılan bir hata olarak ele alıyor ve halihazırda hakkında yeterlilik kararı verilmiş bir ülke, ülke içerisindeki sektör veya uluslararası kuruluş bulunmadığını belirtiyor. Bunun yerine önce aktarıma dayanak olabilecek kanun ve uluslararası anlaşmalar incelenir; böyle bir dayanak yoksa Kanun'un 9'uncu maddesinin dördüncü fıkrasındaki uygun güvencelerden birine veya şartları varsa altıncı fıkradaki arızi hallere dayanılır. Yurt içinde barındırılan bir modelle çözülebilen akışlarda bu soru hiç doğmaz.

İlgili yazılar

• Kamu kurumu ChatGPT ve OpenAI API kullanabilir mi? KVKK yurt dışı aktarım çerçevesi
• KVKK standart sözleşme nasıl yapılır: yurt dışı LLM aktarımının operasyonel maliyeti

• KVKK aydınlatma metni
• Güvenlik dokümantasyonu
• Kullanım ve raporlama
• Model kataloğu